Contracte d'encàrrec del tractament

Aquest contracte regula el tractament de dades personals que ABARCANDO, S.L. (NIF B88017173, C/ Casuarina 18, 7AD, 28044 Madrid; «l'encarregat») fa per compte de cada empresa client d'AccessTime («el responsable») en prestar-li el servei. L'accepta la persona que dona d'alta l'empresa, en nom d'aquesta, marcant la casella del registre, i consta per escrit en format electrònic als efectes de l'art. 28.9 del Reglament (UE) 2016/679 (RGPD). AccessTime conserva la constància de la versió acceptada (document, versió, empremta SHA-256, data, IP i navegador de qui la va acceptar). Forma part dels termes del servei.

1. Objecte, durada, naturalesa i finalitat

• Objecte: la prestació del servei AccessTime (registre de jornada, absències i vacances, horaris i quadrants, teletreball, aprovacions, informes i exportacions).
• Durada: la del contracte de servei, més el període de conservació i bloqueig de l'apartat 10.
• Naturalesa del tractament: recollida a través de la plataforma, registre, estructuració, conservació, consulta, exportació, comunicació al mateix responsable (i a qui aquest doni accés), bloqueig i supressió.
• Finalitat: que el responsable compleixi les seves obligacions de registre de jornada i gestioni el temps de treball i les absències de la seva plantilla.

2. Tipus de dades i categories d'interessats

• Interessats: persones treballadores i col·laboradores del responsable, i les persones a qui aquest doni accés a la plataforma.
• Dades identificatives i de contacte: nom, correu electrònic, NIF/NIE (si el responsable el registra), idioma.
• Dades laborals: rol, departament, centre de treball, lloc, data d'alta, horari, torns, saldos de vacances, i els tancaments mensuals d'hores (arts. 35.5 i 12.4.c ET) amb el justificant de recepció (data, IP, navegador, canal i comentari).
• Registre de jornada: fitxatges amb data i hora del servidor, mètode, centre, teletreball, IP i agent d'usuari del dispositiu, hora del dispositiu en fitxatges sense connexió, i les seves revisions (valor anterior i nou, autor, rol, motiu, conformitat).
• Geolocalització: només si el responsable l'activa, en l'instant del fitxatge.
• Verificació local al mòbil: si l'aplicació mòbil l'envia, amb cada fitxatge, el mètode amb què el mateix telèfon va comprovar la persona (la seva biometria, un PIN o el codi de desbloqueig, o cap) i si la comprovació va sortir bé. La fa el sistema operatiu del telèfon: l'encarregat només en rep el resultat i no tracta dades biomètriques.
• Absències i justificants, que poden revelar dades de salut (categoria especial, art. 9 RGPD). És un tractament previsible del servei, que el responsable empara en l'art. 9.2.b RGPD i l'art. 9 LOPDGDD. El responsable ha d'evitar que s'introdueixin altres categories especials en camps de text lliure.
• Traçabilitat: registre d'auditoria dels canvis i registre d'accessos, també els de la representació legal (amb el seu àmbit) i els de la Inspecció amb el seu enllaç temporal.

3. Instruccions del responsable

L'encarregat tracta les dades només seguint instruccions documentades del responsable, també pel que fa a transferències internacionals. Són instruccions documentades aquest contracte, els termes del servei i la configuració que el responsable fa a la plataforma (rols, geolocalització, fluxos d'aprovació, exportacions). En acceptar aquest contracte el responsable dona, a més, aquestes instruccions:

1. Conservar el registre de jornada, les seves revisions, les jornades, incidències, propostes de correcció i absències 5 anys (4 de mínim legal, art. 34.9 ET, i un de marge per a reclamacions i inspeccions que comencen al final del termini); els fitxatges, les seves revisions i les propostes, per anys naturals complets (entre 5 i 6 anys); els tancaments mensuals, 5 anys des del mes que resumeixen (o des que es va generar la versió, si va ser més tard); el registre d'auditoria, 5 anys (del que es continua conservant després d'aquest termini —un horari vigent, el rol d'una persona, una absència que acaba més tard—, es guarda amb aquesta dada qui ho va fer, només pel seu identificador, amb quin rol, per quin canal i quan, i se suprimeix amb ella); el d'accessos, 2 anys; les coordenades de geolocalització, 30 dies; i els enllaços de la Inspecció, mentre existeixi l'empresa. Complert el termini, suprimir-los amb el procediment de purga, que l'encarregat llança a mà després de revisar l'informe mensual del que es purgaria i que deixa constància de què es va suprimir i quan. El responsable pot demanar un termini més llarg: una retenció per litigi o inspecció, durant la qual no es purga res de la seva empresa, tampoc les coordenades ni les seves converses de suport.
2. No sobreescriure ni esborrar fitxatges: cada correcció o anul·lació s'afegeix com una revisió, amb autor, rol, data i motiu.
3. Registrar de cada canvi qui el va fer, amb quin rol, quan i des d'on, i per què en les accions que demanen un motiu (entre elles, les correccions i anul·lacions de fitxatges), i conservar aquest registre de manera que qualsevol alteració es pugui detectar.
4. Mantenir, després de la baixa d'una persona treballadora, el seu accés de consulta al seu propi registre, les seves revisions i els seus tancaments durant 5 anys des de la data de baixa, llevat que el responsable l'hi retiri (mai abans que acabin els seus terminis per respondre a les propostes de correcció pendents i per confirmar la recepció del seu tancament final) o llevat en acabar aquest contracte (apartat 10); i, quan ja no quedi res seu dins de termini, anonimitzar-ne les dades identificatives si el responsable ho decideix des de la fitxa o, acabat aquest contracte, amb el procediment de purga.

Si a criteri de l'encarregat una instrucció infringeix el RGPD, la LOPDGDD o una altra norma de protecció de dades, ho comunicarà immediatament al responsable.

4. Confidencialitat

L'encarregat garanteix que les persones autoritzades per tractar les dades (el seu personal tècnic i de suport) s'han compromès a respectar la confidencialitat o estan subjectes a una obligació legal de confidencialitat, també després d'acabar la seva relació. El personal de suport només accedeix a les dades d'una empresa quan cal per prestar el servei o quan el responsable ho demana; cada entrada queda registrada amb el seu motiu o tiquet, i cada entrada, sortida i canvi, amb el seu rol (la sortida, en sortir, en passar a una altra empresa o en tancar la sessió; si la sessió acaba d'una altra manera, per exemple perquè caduca, consta la seva última petició dins de l'empresa).

5. Mesures de seguretat (art. 32 RGPD)

L'encarregat aplica, com a mínim, les mesures de l'annex I, i les revisa periòdicament. Les pot substituir per unes altres que donin un nivell de seguretat igual o superior.

6. Subencarregats

El responsable dona una autorització general per recórrer als subencarregats de l'annex II. L'encarregat informarà el responsable de qualsevol incorporació o substitució amb almenys 30 dies d'antelació, per correu electrònic a l'administració de l'empresa i en aquesta pàgina, i el responsable s'hi podrà oposar per motius justificats; si no hi ha acord, podrà resoldre el contracte sense penalització. L'encarregat imposa a cada subencarregat, per contracte, les mateixes obligacions de protecció de dades d'aquest contracte, en particular garanties suficients d'aplicar les mesures de l'art. 32 RGPD, i respon davant del responsable del seu compliment (art. 28.4 RGPD).

7. Transferències internacionals

Les dades del servei s'allotgen a la Unió Europea. Només el subencarregat de notificacions push (Google) pot tractar dades als EUA, a l'empara de la decisió d'adequació del Marc de Privacitat de Dades UE-EUA (art. 45 RGPD). Qualsevol altra transferència requerirà una garantia adequada del capítol V del RGPD i instrucció del responsable.

8. Assistència al responsable

L'encarregat ajuda el responsable, tenint en compte la naturalesa del tractament:

• Drets dels interessats: la plataforma permet al responsable consultar, exportar i rectificar (amb la seva revisió) les dades de cada persona, i a cada persona treballadora veure i descarregar el seu propi registre. Si un interessat s'adreça a l'encarregat, aquest traslladarà la sol·licitud al responsable en un termini màxim de 5 dies hàbils i no la contestarà pel seu compte.
• Seguretat, violacions de seguretat, avaluacions d'impacte i consultes prèvies (arts. 32 a 36 RGPD): l'encarregat facilita la informació de què disposi, inclosa la necessària perquè el responsable faci una avaluació d'impacte quan el seu tractament ho requereixi.

9. Violacions de seguretat

L'encarregat notificarà al responsable, sense dilació indeguda i en un termini màxim de 48 hores des que en tingui coneixement, qualsevol violació de la seguretat que afecti les seves dades, per correu electrònic a l'administració de l'empresa, amb la informació disponible: naturalesa de l'incident, categories i nombre aproximat d'interessats i de registres afectats, conseqüències probables, mesures adoptades o proposades i un punt de contacte. Si no pot donar tota la informació alhora, la facilitarà per fases. El responsable és qui decideix i, si escau, notifica a l'AEPD (72 hores) i als interessats. Per delimitar l'abast, l'encarregat disposa del registre d'accessos i d'auditoria de la plataforma.

10. Destinació de les dades en acabar

En acabar el servei, l'encarregat retorna les dades al responsable: aquest disposa com a mínim de 30 dies per exportar-les totes (exportació completa de l'empresa, amb el registre de jornada per esdeveniment i les seves revisions, informes, absències i justificants i el registre d'auditoria, i exportació per a la Inspecció de qualsevol període).

Després, l'encarregat conserva les dades bloquejades (arts. 32 i 33.4 LOPDGDD), accessibles només per posar-les a disposició de jutges i tribunals, de la Inspecció de Treball o de les autoritats de protecció de dades, fins que es compleix el termini de conservació de cada dada (apartat 3), i llavors les suprimeix amb el procediment de purga, que deixa constància de què es va suprimir i quan; de les còpies de seguretat desapareixen quan roten (com a molt en 12 mesos). Les dades identificatives de cada persona treballadora s'anonimitzen tan bon punt no queda res seu dins de termini, i les del responsable i de qui encara hi quedi, als 6 anys del final del contracte (art. 30 del Codi de Comerç). Durant el bloqueig només l'administració del responsable entra a la plataforma, i únicament per posar-les a disposició d'aquestes autoritats: amb l'exportació completa, l'exportació per a la Inspecció o un enllaç per a la Inspecció, indicant cada vegada el requeriment que atén, i queda registrat qui ho ha fet, quan i per a què. Ningú més del responsable hi accedeix, tampoc qui és de baixa amb accés de consulta: el responsable n'atén els drets amb les dades retornades. No hi ha supressió anticipada: l'encarregat les conserva bloquejades mentre se'n puguin derivar responsabilitats de la seva relació amb el responsable (art. 33.4 LOPDGDD). Conservar el registre de jornada 4 anys és una obligació del responsable com a ocupador (art. 34.9 ET), que la garanteix amb les dades retornades (art. 33.3 LOPDGDD). L'encarregat certificarà la supressió si el responsable ho demana.

11. Informació i auditories

L'encarregat posa a disposició del responsable la informació necessària per demostrar el compliment d'aquest contracte: aquesta documentació, la descripció de les mesures de l'annex I, el registre d'activitats de tractament com a encarregat (art. 30.2 RGPD) i el resultat de la verificació de la integritat del registre. Permet auditories, incloses inspeccions, del responsable o d'un auditor que aquest designi, i hi contribueix, amb un preavís raonable (30 dies), sense comprometre la seguretat ni la confidencialitat d'altres clients, i com a regla general un cop l'any, llevat que hi hagi indicis d'incompliment o ho exigeixi una autoritat.

12. Obligacions del responsable

El responsable garanteix que té base jurídica per als tractaments que encarrega, informa la seva plantilla (art. 13 RGPD) del sistema de registre i, si activa la geolocalització, compleix l'art. 90 LOPDGDD; configura els rols i accessos de manera que cada persona vegi només el necessari; i comunica a l'encarregat qualsevol instrucció addicional per escrit.

13. Responsabilitat

Cada part respon dels seus incompliments d'acord amb l'art. 82 RGPD. Si l'encarregat tracta les dades per a finalitats pròpies o incomplint les instruccions, serà considerat responsable d'aquest tractament (art. 28.10 RGPD).

Annex I · Mesures de seguretat

• Accés: comptes personals; contrasenyes amb hash bcrypt i de 10 caràcters com a mínim; comptes nous activats amb un enllaç d'un sol ús que caduca; verificació en dos passos obligatòria per a l'administració, RRHH, la representació legal de les persones treballadores i el suport d'AccessTime; límits d'intents per compte i IP amb bloqueig i avís al titular; sessions i accessos de l'app visibles i revocables per l'usuari; accessos de l'app que caduquen als 90 dies.
• Autorització: aïllament de les dades per empresa en totes les consultes; permisos per rol (la persona treballadora veu el seu; el seu responsable, el seu departament; RRHH i administració, la seva empresa; la representació legal, el registre del seu àmbit, sense NIF, dades de contacte ni textos lliures); el tipus d'absència no es mostra als companys.
• Xifratge: HTTPS amb HSTS en totes les comunicacions; xifratge en repòs (AES-256) del NIF, dels motius d'absència, dels justificants, dels secrets del segon factor i de les còpies de seguretat.
• Integritat i traçabilitat: el registre de jornada no se sobreescriu (revisions només d'inserció); registre d'auditoria només d'inserció amb qui, rol, quan, des d'on, abans, després i motiu; cadenes d'empremtes HMAC-SHA256 per empresa; activadors de la base de dades que rebutgen modificar o esborrar aquests registres fora de la purga legal; segell de les cadenes cada hora fora de la base de dades i cada dia fora del servidor; verificació diària contra l'últim segell de fora de la base de dades, amb avís de qualsevol alteració que trobi (el segell diari de fora del servidor permet comprovar-ho també a mà); el compte de l'aplicació no té privilegis per alterar l'estructura de la base de dades.
• Disponibilitat: còpies de seguretat xifrades (14 diàries i 12 mensuals) amb restauració comprovada, desades al servidor i, amb la mateixa rotació, fora d'aquest, en un servidor d'Arsys Internet, S.L.U. a Espanya (annex II), que no té la clau per desxifrar-les; el registre de canvis de la base de dades, que permet recuperar-la fins al moment d'una fallada, es conserva com a molt 14 dies i només surt del servidor xifrat; fitxatges sense connexió que es desen al dispositiu i se sincronitzen sense duplicats.
• Aplicació web: política de seguretat de continguts (CSP), capçaleres de protecció, protecció CSRF i antibots als formularis públics, revisió periòdica de dependències amb avisos de seguretat.
• Organització: personal amb deure de confidencialitat; accés de suport registrat; procediment de gestió i notificació de violacions de seguretat; registre d'activitats de tractament com a encarregat.

Annex II · Subencarregats autoritzats

El servidor d'Arsys porta cada dia des del servidor principal, per una connexió xifrada (SSH) i amb un accés que només permet llegir-los, les còpies i el registre de canvis ja xifrats; la clau que els desxifra la guarda l'encarregat fora d'aquest servidor (annex I).

No són subencarregats, perquè no tracten dades de la plantilla per compte del responsable: Stripe Payments Europe, Ltd. (cobrament de la subscripció, responsable independent de les seves dades de pagament) i Google reCAPTCHA (protecció dels formularis públics, tractament propi d'ABARCANDO descrit a la política de privacitat).